Politique de confidentialité

Dernière mise à jour : 9 novembre 2026

La présente politique de confidentialité explique quelles données personnelles sont collectées par l'application ORGAA, dans quel but, sur quelle base légale, à qui elles sont transmises, combien de temps elles sont conservées, et comment exercer tes droits.

ORGAA est édité par Batiflow, SASU au capital de 1 000 €, immatriculée au RCS de Paris sous le numéro 993 058 908, dont le siège est situé au 60 rue François 1er, 75008 Paris, France (ci-après « nous » ou « l'éditeur »). L'éditeur agit en qualité de responsable de traitement au sens du Règlement (UE) 2016/679 (« RGPD »).

1. Données que nous collectons

1.1 Données fournies par toi

1.2 Données collectées automatiquement

1.3 Données issues de tiers

• Connexion via Apple ou Google : si tu choisis l'authentification fédérée, nous recevons ton email et ton nom (selon ce que le fournisseur transmet, sous ton contrôle).
• Contacts : pour la fonctionnalité « trouver mes amis sur ORGAA », nous ne lisons jamais tes contacts en clair. L'app calcule localement, sur ton appareil, des empreintes (hashes) cryptographiques des numéros et emails. Seules ces empreintes anonymes sont envoyées à notre serveur pour vérifier si elles correspondent à un compte existant. Tes contacts ne sont jamais stockés en clair par nous.
• Invitation par email : un organisateur peut t'inviter à un événement en saisissant ton adresse email (et éventuellement ton prénom). Nous utilisons cette adresse uniquement pour t'envoyer l'invitation et, si tu ne réponds pas, au plus trois relances demandées par l'organisateur. Chaque email indique qui t'a invité et permet de ne plus jamais recevoir d'invitation.
• Invitation d'un professionnel par un prestataire : un prestataire inscrit peut inviter par email un autre professionnel avec qui il travaille à rejoindre ORGAA. Nous utilisons cette adresse uniquement pour cette invitation, jamais plus d'une fois en 30 jours pour une même adresse, avec un lien pour ne plus être contacté.
• Registre des entreprises : pour vérifier l'identité d'un prestataire, nous consultons l'annuaire public des entreprises de l'État (raison sociale, SIRET, adresse, code d'activité, date de création).

1.4 Données que nous ne collectons pas

• Données bancaires : ORGAA n'encaisse jamais de fonds entre utilisateurs. Les contributions à une cagnotte sont déclaratives (tu indiques le montant que tu as envoyé) et redirigent vers des prestataires externes (Lydia, PayPal, Wero, IBAN…) qui ont leurs propres politiques de confidentialité. Quand un prestataire paie sa formule, le paiement est traité par Stripe : nous ne voyons jamais le numéro de carte.
• Les réservations d'activités et d'hébergements se font sur le site de la plateforme partenaire : nous ne recevons ni tes coordonnées de paiement ni le détail de ta réservation.
• Localisation continue (la localisation est utilisée ponctuellement pour la sélection d'adresse d'événement, jamais en arrière-plan).
• Données de santé, données biométriques (la biométrie utilisée pour le déverrouillage de l'app reste stockée localement sur ton appareil par iOS/Android, jamais transmise à nos serveurs).
• Le microphone n'est activé que pendant que tu enregistres un message vocal dans une conversation, jamais en arrière-plan ni à l'ouverture de l'app. L'enregistrement obtenu est un contenu que tu envoies (cf. § 1.1) : il n'est ni analysé, ni transcrit, ni utilisé pour de la publicité.

1.5 Si tu es prestataire

1.6 Préparation d'une fiche à partir d'un site

Quand une personne demande à préparer une fiche à partir d'un site, d'une fiche Google ou d'une fiche d'annuaire, nous lisons les pages publiques indiquées : textes, photos, coordonnées professionnelles affichées (téléphone, email, adresse) et mentions légales. Pour une fiche Google, nous recevons le nom, l'adresse, le téléphone, le site et le type d'établissement. Les textes sont envoyés à notre sous-traitant d'intelligence artificielle pour rédiger une proposition de fiche. Rien n'est publié sans la relecture du prestataire.

Si la personne n'a pas de compte, nous gardons aussi une empreinte chiffrée de son adresse IP, pour limiter les abus. Si l'inscription n'est pas terminée, l'équipe ORGAA peut contacter l'entreprise, à ses coordonnées professionnelles, pour l'aider à la terminer. L'entreprise peut s'y opposer à tout moment en écrivant à [email protected].

2. Finalités et bases légales

3. Bénéficiaires d'événements (donnée d'un tiers)

Lorsqu'un utilisateur crée un événement (anniversaire, pot de départ, mariage…) avec un bénéficiaire identifié qui n'est pas encore inscrit sur ORGAA, le créateur saisit le prénom et le nom de cette personne. L'organisateur est alors responsable de cet usage et doit s'assurer que le bénéficiaire est informé. Si le bénéficiaire ne s'inscrit pas dans les 30 jours suivant la fin de l'événement (mode surprise), nous anonymisons automatiquement ces données via une tâche planifiée.

Si tu apprends qu'un événement te concerne sans ton consentement, contacte-nous à [email protected] : nous supprimerons tes données dans les meilleurs délais.

3 bis. Ce que voient les prestataires

Quand tu envoies une demande de devis, le prestataire reçoit ton prénom, la date, le nombre d'invités et la ville de l'événement, tes messages et les fichiers que tu joins. Il devient alors responsable de traitement pour ces données et s'est engagé, dans nos conditions prestataires, à ne les utiliser que pour te répondre et réaliser la prestation.

Un avis publié affiche ton prénom, l'initiale de ton nom, le type et le mois de l'événement. Le budget que tu indiques n'est jamais publié.

4. Sous-traitants et destinataires

Nous faisons appel aux sous-traitants suivants, sélectionnés pour leur conformité au RGPD. Tous ont signé avec nous des accords de traitement de données (DPA / art. 28 RGPD) :

Nous ne vendons jamais tes données à des tiers. Aucun transfert hors UE n'est effectué pour les données stockées dans Supabase. Pour les sous-traitants opérant des transferts hors UE (Vercel, Google, Apple, Expo, Resend, Anthropic, Stripe), des clauses contractuelles types approuvées par la Commission européenne encadrent les transferts. Notre sous-traitant d'intelligence artificielle n'utilise pas les données que nous lui transmettons pour entraîner ses modèles.

Autres destinataires, qui agissent pour leur propre compte :

• les prestataires auxquels tu envoies une demande (voir § 3 bis) ;
• les plateformes partenaires de réservation d'activités et d'hébergements : quand tu cliques sur une offre, elles reçoivent un identifiant du clic ; pour une recherche d'hébergements, elles reçoivent aussi ton adresse IP et ton type de navigateur. Sur leur site, leur propre politique de confidentialité s'applique ;
• Meta Platforms Ireland Ltd. (Instagram, Facebook), pour mesurer nos campagnes publicitaires : à l'installation de l'app et à la fin de l'inscription, Meta reçoit les données décrites au § 1.2 (« Mesure des publicités ») et peut les traiter aux États-Unis (cadre de protection des données UE-États-Unis). Sa propre politique de confidentialité s'applique. Tu peux couper cet envoi dans Profil → Confidentialité → Mesure des publicités ;
• les fournisseurs de fonds de carte du site (OpenFreeMap, OpenStreetMap), qui reçoivent ton adresse IP lors de l'affichage d'une carte ;
• les autorités, sur réquisition légale.

Pour le détail des traceurs utilisés (dont PostHog et le SDK Meta) et la manière de les refuser, consulte notre politique cookies.

5. Durées de conservation

6. Tes droits

Conformément au RGPD, tu disposes des droits suivants :

• Droit d'accès (art. 15) : obtenir une copie des données te concernant. Nous ne pourrons cependant pas inclure de données qui pourraient nuire aux droits ou libertés de quelqu'un d'autre.
• Droit de rectification (art. 16) : modifier les données inexactes, obsolètes ou incomplètes (la plupart sont éditables directement dans l'app via Profil → Modifier). Si tu ne parviens pas à le faire toi-même, tu peux nous contacter et nous le ferons pour toi.
• Droit d'effacement / « droit à l'oubli » (art. 17) : formuler une demande de suppression de tes données à tout moment. Nous examinerons la demande et les supprimerons lorsque cela est possible. Si, après avoir examiné ta demande, nous constatons qu'il existe encore des raisons légitimes de conserver tes données, nous t'en informerons. Tu peux aussi le faire toi-même via Profil → Supprimer mon compte, ou par email.
• Droit d'opposition (art. 21) : t'opposer à la mesure d'audience PostHog (Profil → Confidentialité → Analytics anonymes) et à la mesure des publicités Meta (Profil → Confidentialité → Mesure des publicités). Chaque email d'événement contient un lien pour ne plus en recevoir (un événement, les messages des organisateurs, les invitations, ou tous) ; dans l'app, tu les règles depuis Profil → Communication → Emails. Les annulations d'événement restent envoyées aux participants.
• Droit à la limitation (art. 18) : dans certaines situations, demander de limiter l'utilisation de tes données et la suspension d'un traitement contesté. Par exemple, tu peux nous demander de restreindre temporairement le traitement de tes données en cas de données inexactes le temps de la vérification, en cas d'utilisation illégale des données et que tu préfères les limiter plutôt que de les supprimer, ou si nous n'avons plus besoin de tes données mais que tu en as besoin pour constater, exercer ou défendre des droits en justice. Nous t'informerons également avant la levée des restrictions.
• Droit à la portabilité (art. 20) : recevoir tes données dans un format structuré, ou demander une copie de tes données et les faire transférer à un autre service. Nous ne pourrons cependant pas inclure de données qui pourraient nuire aux droits ou libertés d'autrui.
• Droit de retirer ton consentement (art. 7.3) : à tout moment (newsletter, push…), sans que ce retrait affecte la légalité des traitements que nous avons effectués jusqu'alors. Lorsque tu retires ton consentement, nous cesserons d'utiliser tes données pour les raisons auxquelles tu avais consenti, sauf si nous avons une autre base juridique pour continuer.
• Droit d'introduire une réclamation (art. 77) : auprès d'une autorité de protection des données (celle du pays où tu vis, où tu travailles, ou où le problème est survenu). L'autorité compétente en France est la CNIL (www.cnil.fr).

Si tu es prestataire, la plupart des informations de ta fiche se modifient dans Ma fiche, et tes informations de facturation dans Gérer mon abonnement. Tu peux t'opposer à tout moment à nos relances commerciales.

Pour exercer ces droits, écris-nous à [email protected], en précisant ta demande et un moyen de te ré-identifier (email du compte). Nous répondons sous un mois maximum.

7. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées : chiffrement des connexions (HTTPS/TLS), chiffrement au repos chez Supabase, isolation par règles de sécurité au niveau ligne (Row Level Security), authentification multi-facteur disponible, journalisation des accès. Aucune méthode n'étant infaillible à 100 %, nous t'invitons à choisir un mot de passe robuste et à activer le verrouillage biométrique sur ton appareil.

8. Mineurs

ORGAA est interdit aux personnes de moins de 16 ans. La date de naissance est déclarée à l'inscription. Si tu apprends qu'un mineur de moins de 16 ans utilise l'app, signale-le à [email protected] : nous supprimerons le compte.

9. Modifications

Nous pouvons modifier cette politique pour refléter une évolution légale ou technique. La date en haut de page indique la dernière mise à jour. En cas de modification substantielle, nous t'en informerons via une notification dans l'app et/ou par email.

10. Contact

Batiflow, 60 rue François 1er, 75008 Paris, France Email RGPD : [email protected] Email général : [email protected]